搜索

[14308] 2019-07-04_再议Wannacry的比特币钱包

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-04_再议Wannacry的比特币钱包 再 议 W a n n a c r y 的 比 特 币 钱 包 追 影 人   F r e e B u f   2 0 1 9 - 0 7 - 0 4 0 × 0 0   回 顾 回 顾 两 年 前 正 值 两 年 前 正 值 W a n n a c r y 爆 发 不 久 ， 笔 者 发 表 了 《 爆 发 不 久 ， 笔 者 发 表 了 《 “ 数 数 ” 说 说 W a n n a c r y 的 比 特 币 钱 包 》 一 文 ， 受 到 很 多 小 伙 伴 的 关 注 。 的 比 特 币 钱 包 》 一 文 ， 受 到 很 多 小 伙 伴 的 关 注 。 文 章 从 比 特 币 基 本 特 性 、 交 易 数 据 采 集 、 交 易 记 录 分 析 、 资 金 流 可 视 化 等 多 个 方 面 介 绍 了 文 章 从 比 特 币 基 本 特 性 、 交 易 数 据 采 集 、 交 易 记 录 分 析 、 资 金 流 可 视 化 等 多 个 方 面 介 绍 了 W a n n a c r y 事 件 所 涉 及 事 件 所 涉 及 的 三 个 比 特 币 账 户 。 由 于 的 三 个 比 特 币 账 户 。 由 于 “ 涉 案 涉 案 ” 账 户 并 未 转 移 账 户 并 未 转 移 “ 赃 款 赃 款 ” ， 所 以 当 时 只 分 析 了 资 金 的 来 源 ， 并 没 有 就 去 向 开 展 研 ， 所 以 当 时 只 分 析 了 资 金 的 来 源 ， 并 没 有 就 去 向 开 展 研 究 。 究 。 有 热 心 小 伙 伴 提 示 ， 账 户 在 2 0 1 7 年 8 月 3 日 对 资 金 进 行 了 转 移 操 作 ， 那 么 我 们 一 起 来 看 看 账 户 里 的 钱 去 了 哪 ？ 这 两 年 来 账 户 发 生 了 什 么 ？ T i p ： 为 简 化 描 述 ， 文 中 分 别 将 w a n n a c r y 的 三 个 比 特 币 钱 包 重 命 名 为 如 下 ： 0 x 0 1   W h e n   转 移 时 间 转 移 时 间 经 过 对 三 个 钱 包 所 有 交 易 记 录 进 行 筛 查 ， 共 有 3 9 7 笔 交 易 ， 其 中 6 笔 转 出 ， 每 个 钱 包 分 别 对 应 2 笔 ， 具 体 如 下 图 ： 图 1   1 1 钱 包 转 出 记 录
图 2   1 2 钱 包 转 出 记 录 图 3   1 3 钱 包 转 出 记 录 6 笔 交 易 分 别 发 生 在 2 0 1 7 0 8 0 3 日 的 1 1 : 3 9 : 1 5 、 1 2 : 2 8 : 2 0 、 1 2 : 4 1 : 3 4 这 三 个 时 刻 ， 需 要 说 明 的 是 交 易 时 间 相 同 的 交 易 记 录 都 记 载 在 同 一 块 上 ， 所 以 出 块 时 间 都 是 一 样 的 。 据 此 可 以 推 断 出 ， 有 人 在 北 京 时 间 2 0 1 7 年 8 月 3 日 （ 距 离 5 . 1 2 共 8 3 天 ） 1 2 点 左 右 对 三 个 账 户 进 行 了 操 作 ， 转 走 了 里 面 的 钱 。 0 x 0 2   W h e r e   资 金 去 向 资 金 去 向 1 、 账 户 里 一 共 多 少 钱 、 账 户 里 一 共 多 少 钱 三 个 钱 包 的 转 入 交 易 笔 数 分 别 为 ： 1 1 钱 包 1 1 9 笔 ,   1 2 钱 包 1 3 6 笔 ,   1 3 钱 包 1 3 8 笔 ， 从 分 布 情 况 看 无 明 显 差 异 ， 也 符 合 《 “ 数 ” 说 w a n n a c r y 的 比 特 币 钱 包 》 里 面 提 到 的 w a n n a c r y 病 毒 程 序 对 付 款 账 户 的 随 机 化 。
图 4   各 钱 包 转 入 交 易 占 比 图 截 至 2 0 1 7 . 8 . 3 日 ， 各 钱 包 收 到 的 比 特 币 数 额 分 别 为 ： 1 4 . 4 1 0 6 7 6 0 2 b t c 、 1 7 . 7 7 1 1 3 0 3 7 b t c 、 1 9 . 7 4 5 1 0 3 0 4 b t c ， 共 计 5 1 . 9 2 6 9 0 9 4 3 b t c 。 图 5   各 钱 包 转 入 金 额 占 比 图 2 、 资 金 去 哪 了 、 资 金 去 哪 了 为 了 回 答 这 个 问 题 ， 我 们 需 要 对 2 0 1 7 . 8 . 3 日 的 转 出 数 据 进 行 收 集 追 踪 ， 我 们 依 旧 使 用 s c r a p y 框 架 进 行 爬 取 ， 由 于 数 据 来 源 网 站 使 用 了 j s 脚 本 ， 所 以 u r l l i b 获 取 到 的 内 容 并 非 是 真 实 展 现 的 数 据 ， 因 此 引 入 s e l e n i u m + p h a n t o m j s 的 方 式 调 用 无 界 面 浏 览 器 对 网 页 进 行 爬 取 。 （ 高 版 本 的 s e l e n i u m 已 经 放 弃 了 对 p h a n t o m j s 的 支 持 ， 可 以 选 用 c h r o m e 或 F i r e f o x 浏 览 器 进 行 ， 通 常 为 了 减 少 资 源 消 耗 选 用 h e a d l e s s 无 头 模 式 ） S t e p 1 : 确 定 爬 虫 入 口 确 定 爬 虫 入 口 为 了 追 踪 钱 包 里 钱 财 去 向 ， 需 要 紧 盯 转 出 交 易 顺 藤 摸 瓜 ， 所 以 3 个 钱 包 在 8 . 3 日 的 6 笔 转 出 记 录 是 重 点 ， 爬 虫 的 入 口 即 为 6 笔 转 出 记 录 ， 6 条 转 出 交 易 的 i d 如 下 ：
d 1 7 8 2 9 f 8 0 9 7 e d 8 6 f a 2 e 9 6 1 b 5 c c e f c 5 1 8 7 7 6 7 3 f 6 4 9 1 9 6 6 2 1 b f 9 0 e 0 3 f 4 2 f 1 e 9 a b 8 e f 0 a c 1 c 1 3 0 7 4 0 1 3 8 8 0 5 b f b 7 c d 6 0 5 4 5 6 e 4 4 0 2 6 6 d b 1 f d 8 5 a e 5 b 4 a 8 5 2 a 7 1 7 2 f c f 2 f 3 5 e 5 d 5 f e 8 c 8 1 2 8 c f a 6 8 8 4 f 5 6 b e 5 8 1 7 e 4 1 3 8 c 5 8 c 9 1 b 7 9 d 7 8 d 3 e 7 8 a 8 d 3 6 5 b 9 d 8 a 7 4 0 9 8 0 3 b b 5 e 1 2 4 f d 0 2 8 c 0 4 8 2 0 2 7 c 7 7 2 2 e 8 4 c e 5 5 b 7 8 2 0 4 b 2 7 9 d 3 a 4 4 a b a 5 e 7 c 1 6 9 8 8 d e f 6 4 5 8 a 4 6 2 3 4 a b 0 e 0 4 0 6 0 2 e 7 8 5 2 f f 5 c f 5 8 6 5 0 f 3 f 1 1 0 2 8 0 3 b 1 d 4 b c a 4 c c 2 9 3 a 1 a 0 2 8 b b 2 d 4 c 7 9 5 c b 8 a 8 f d 2 f 0 3 2 8 5 9 3 4 f b a 8 7 4 7 f a 8 4 2 9 6 f b 7 7 1 1 d c d a 1 7 9 b 2 1 c c 4 c 根 据 数 据 特 点 ， 我 们 制 作 如 下 的 两 张 表 来 分 别 记 录 交 易 概 况 和 交 易 详 情 。 表 1 ： 交 易 概 况 。 记 录 每 笔 交 易 的 i d 、 块 高 度 、 确 认 数 、 出 块 时 间 、 r a w t x 、 虚 拟 大 小 、 权 重 、 输 入 、 输 出 、 S i g o p s 、 矿 工 费 、 矿 工 费 率 。 图 6   交 易 记 录 要 素 表 2 ： 交 易 详 情 。 记 录 每 一 笔 资 金 流 详 情 ， 包 括 交 易 I d 、 钱 包 地 址 、 流 入 流 出 类 型 、 b t c 数 量 、 上 一 笔 或 下 一 笔 交 易 i d 。 下 图 所 示 本 笔 交 易 共 包 含 3 条 资 金 流 信 息 ， 1 笔 输 入 资 金 ， 2 笔 输 出 资 金 。 图 7   交 易 详 情 要 素 S t e p 2 ： 开 始 爬 取 ： 开 始 爬 取 由 于 爬 虫 是 以 6 个 入 口 地 址 为 起 点 爬 取 ， 顺 着 资 金 流 追 踪 ， 只 有 完 成 一 个 交 易 记 录 的 爬 取 才 能 获 取 到 下 一 个 交 易 的 页 面 地 址 ， 所 以 同 时 爬 取 的 最 大 请 求 数 只 能 是 6 ， 这 极 大 限 制 了 爬 虫 的 工 作 效 率 。 为 了 简 化 爬 取 过 程 ， 这 里 只 爬 取 了 部 分 数 据 进 行 分 析 。 S t e p 3 ： 可 视 化 分 析 ： 可 视 化 分 析 我 们 对 我 们 对 1 1 钱 包 的 两 条 转 出 记 录 进 行 追 踪 钱 包 的 两 条 转 出 记 录 进 行 追 踪 ， 共 收 集 到 5 9 3 笔 交 易 ， 涉 及 4 0 7 5 6 条 资 金 流 。 将 数 据 进 行 格 式 化 处 理 后 ， 导 入 g e p h i 中 进 行 可 视 化 展 示 。
图 8   钱 包 1 1 的 交 易 可 视 化 我 去 ~ ~ ~ ~ 密 集 恐 惧 症 都 犯 了 。 。 。 。 。 可 以 看 到 图 中 共 3 6 4 0 9 个 节 点 和 3 7 2 4 7 条 边 。 这 些 节 点 和 边 都 代 表 了 什 么 ？ 根 据 比 特 币 交 易 的 特 点 ， 很 多 交 易 记 录 都 不 是 单 个 账 户 对 单 个 账 户 ， 而 是 一 对 多 、 多 对 一 和 多 对 多 的 资 金 流 关 系 ， 所 以 我 们 在 绘 制 资 金 流 时 无 法 将 账 户 直 接 关 联 到 另 一 个 账 户 ， 而 是 需 要 以 交 易 块 为 中 介 进 行 关 联 ， 所 以 图 中 的 节 点 包 含 两 种 类 型 ： 钱 包 和 交 易 块 ； 图 中 的 连 线 连 接 了 钱 包 与 交 易 块 ， 代 表 着 资 金 流 ， 连 线 的 箭 头 方 向 代 表 了 资 金 流 向 。 为 了 使 上 面 的 图 更 加 清 晰 直 观 ， 我 们 对 数 据 进 行 一 下 处 理 ， 按 照 节 点 的 类 型 对 其 进 行 标 色 。 红 色 代 表 钱 包 ， 绿 色 代 表 交 易 块 ， 可 以 看 出 图 中 被 密 密 麻 麻 的 钱 包 所 笼 罩 。
图 9   钱 包 1 1 的 交 易 可 视 化 图 （ 标 色 ） 根 据 交 易 特 性 ， 交 易 块 肯 定 连 接 输 入 和 输 出 账 户 ， 所 以 图 上 交 易 块 节 点 的 度 必 定 大 于 1 ， 利 用 k - 核 心 算 法 对 图 中 度 为 1 的 节 点 进 行 过 滤 。
图 1 0   钱 包 1 1 的 交 易 可 视 化 图 （ 标 色 ） k - 核 心 > 1 可 以 看 到 图 中 的 点 和 边 均 锐 减 到 1 1 6 3 （ 3 . 1 9 % ） 和 2 0 0 3 （ 5 . 3 8 % ） ， 除 去 5 9 3 个 交 易 块 节 点 ， 有 5 7 0 个 钱 包 节 点 被 保 留 了 下 来 ， 说 明 这 些 钱 包 与 不 止 一 个 交 易 块 发 生 了 关 系 ， 参 与 了 多 笔 交 易 。 我 们 利 用 节 点 的 出 度 值 调 整 节 点 大 小 ， 得 到 如 下 图 。 图 1 1   钱 包 1 1 的 交 易 可 视 化 图 （ 标 色 ） 出 度 调 整 可 以 看 到 其 中 有 一 个 钱 包 格 外 的 大 ， 说 明 其 资 金 流 出 的 笔 数 非 常 多 。 为 了 验 证 我 们 查 看 该 钱 包 的 交 易 信 息 ， 可 以 看 到 交 易 2 1 0 6 5 0 笔 ， 总 接 收 2 , 0 9 6 , 8 9 0 . 5 3 3 3 3 9 9 9   B T C ， 2 0 1 7 年 4 月 有 几 笔 交 易 ， 从 5 月 底 开 始 交 易 数 激 增 。 从 该 钱 包 的 流 水 来 看 很 像 是 用 来 提 供 洗 钱 服 务 的 账 户 。
图 1 2   关 键 钱 包 交 易 统 计 当 把 k - 核 心 过 滤 条 件 调 整 为 3 ， 将 边 的 宽 度 也 按 资 金 流 大 小 进 行 等 比 例 缩 放 ， 可 以 看 到 下 图 中 剩 下 的 钱 包 均 可 视 为 核 心 节 点 ， 从 该 图 的 线 条 就 可 以 看 出 上 图 所 得 到 的 钱 包 的 交 易 量 确 实 非 常 大 。 图 1 3   钱 包 1 1 的 交 易 可 视 化 图 （ 标 色 ） 边 调 整
以 上 的 分 析 只 是 1 1 钱 包 的 资 金 流 去 向 情 况 ， 就 已 经 非 常 复 杂 了 。 为 了 简 化 问 题 ， 我 们 对 三 个 钱 包 的 分 析 只 采 用 2 0 1 7 年 1 2 月 3 1 日 之 前 的 交 易 数 据 进 行 ， 将 数 据 导 入 g e p h i 后 ， 形 成 1 6 万 个 节 点 近 1 0 万 条 边 ， 选 用 k - 核 心 算 法 过 滤 3 度 以 下 节 点 ， 得 到 下 图 。 图 1 4   涉 案 钱 包 交 易 可 视 化 图 （ 标 色 ） k - 核 心 > 3 使 用 加 权 出 入 度 对 节 点 大 小 进 行 调 整 得 到 如 下 图 所 示
图 1 5   涉 案 钱 包 交 易 可 视 化 图 （ 标 色 ） 加 权 出 入 度 可 以 看 出 图 中 有 部 分 节 点 调 整 后 变 得 异 常 大 ， 随 便 选 中 其 中 一 个 点 查 询 后 可 看 到 ， 3 1 比 交 易 的 流 水 资 金 高 达 1 1 , 7 7 7 . 5 6 1 5 0 5 3 4 B T C ， 不 禁 为 这 个 账 户 增 添 神 秘 色 彩 。 根 据 以 上 图 像 显 示 ， 三 个 账 户 的 资 金 去 向 异 常 复 杂 ， 还 经 过 了 很 多 M i x 账 户 ， 这 些 账 户 专 门 用 于 洗 钱 。 3 、 、 8 月 月 3 日 之 后 的 账 户 日 之 后 的 账 户 2 0 1 7 年 8 月 3 日 三 个 账 户 同 时 转 出 “ 赃 款 ” 后 ， 依 旧 有 资 金 络 绎 不 绝 得 转 到 账 户 里 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理